Configurar Firewall en Plesk: ModSecurity y Reglas | Guía SysAdmin

¿Qué es el firewall de Plesk y por qué deberías configurarlo hoy mismo?

Si has llegado hasta aquí, probablemente te suena eso de "firewall plesk" o "modsecurity plesk" y quieres darle a tu servidor una capa extra de seguridad sin volverte loco en el intento. Y estás en el lugar correcto.

Plesk incluye dos herramientas fundamentales que, bien configuradas, te pueden ahorrar más de un disgusto: el firewall a nivel de red (basado en iptables) y ModSecurity, que actúa como un firewall a nivel de aplicación web (WAF). Vamos a verlas paso a paso, sin tecnicismos innecesarios y con ejemplos prácticos.

¿Por qué usar el firewall de Plesk y no otro?

Pues porque Plesk ya lo trae integrado, lo que significa que no tienes que instalar nada raro ni pelearte con la terminal durante horas. Además, la interfaz gráfica te permite crear reglas sin necesidad de saber comandos complejos.

Otra ventaja es que las reglas se aplican al instante y puedes ver un histórico de lo que se ha bloqueado. Esto es oro puro para saber si alguien está intentando entrar donde no debe.

Primeros pasos: acceder al firewall de Plesk

Para empezar, inicia sesión en tu panel de Plesk. Una vez dentro, busca en el menú lateral la opción "Herramientas y ajustes" y dentro de ella verás dos apartados clave:

Firewall (a veces aparece como "Firewall de red").
ModSecurity (dentro de "Seguridad").

Ambos son independientes, así que los configuraremos por separado.

Configurar el firewall de red en Plesk

### Activar el firewall

Lo primero es asegurarte de que el firewall está activado. En la pantalla principal del firewall verás un interruptor. Actívalo y Plesk cargará las reglas por defecto. Estas reglas suelen ser bastante seguras: permiten el tráfico web (puertos 80 y 443), SSH (puerto 22) y poco más.

[WARNING] Si tienes servicios como correo (puertos 25, 110, 143, 587, 993, 995) o FTP, asegúrate de que estén permitidos antes de activar el firewall o podrías quedarte sin acceso a tu propio servidor.

### Crear una regla personalizada

Imagina que quieres abrir el puerto 8443 (el puerto de Plesk) solo para tu IP de casa. Esto es muy útil para que nadie más pueda intentar entrar al panel.

Haz clic en "Añadir regla".
Elige el protocolo (TCP, UDP o ambos).
Escribe el puerto o rango de puertos (por ejemplo, 8443).
En "Dirección IP remota", pon tu IP pública. Si no la sabes, puedes buscarla en Google con "cuál es mi IP".
Marca la acción "Permitir".
Guarda los cambios.

Ya tienes tu primera regla personalizada. Así de fácil.

### Reglas por defecto que deberías revisar

Dentro de la lista de reglas, presta atención a estas:

Puerto 22 (SSH): si tienes acceso root, limítalo a tu IP o a un rango de IPs de confianza.
Puerto 21 (FTP): si no usas FTP, ciérralo. Mejor aún, usa SFTP.
Puertos 25, 465, 587: necesarios para el correo saliente, pero si no usas el servidor como mail server, puedes cerrarlos.
Ping (ICMP): no es crítico, pero si quieres que tu servidor no responda a pings externos, puedes bloquearlo.

ModSecurity en Plesk: el escudo de tus aplicaciones web

ModSecurity es un firewall de aplicaciones web que analiza cada petición HTTP que llega a tu servidor. Detecta intentos de inyección SQL, XSS, inclusión de archivos remotos y otros ataques típicos.

### Activar ModSecurity

Ve a "Herramientas y ajustes" → "ModSecurity". Verás una pantalla con el estado actual. Si está desactivado, actívalo y selecciona un conjunto de reglas.

Plesk te ofrece dos opciones principales:

OWASP CRS (Core Rule Set): el más recomendado y actualizado constantemente. Bloquea la mayoría de ataques conocidos.
Comodo WAF: otra opción válida, pero menos frecuente.

[TIP] Si no sabes cuál elegir, ve con OWASP CRS. Es el estándar de la industria y funciona muy bien.

### Aplicar ModSecurity a un dominio concreto

No tienes que proteger todos tus sitios por igual. De hecho, es mejor ir poco a poco para evitar falsos positivos.

Ve a "Sitios web y dominios".
Selecciona el dominio que quieras proteger.
Entra en "Seguridad" → "ModSecurity".
Activa "Proteger este sitio web".
Elige el modo: "Detección" o "Prevención".

¿Qué diferencia hay entre detección y prevención?

Modo detección: ModSecurity solo registra los ataques en el log, pero no bloquea nada. Perfecto para probar.
Modo prevención: bloquea las peticiones sospechosas antes de que lleguen a tu aplicación.

[INFO] Si acabas de activar ModSecurity, te recomiendo dejarlo en modo detección durante unos días. Así revisas los logs y ves si hay falsos positivos antes de pasar a bloqueo total.

### Personalizar reglas de ModSecurity

A veces una regla muy estricta bloquea a usuarios legítimos. En ese caso, puedes crear una excepción.

Desde el panel de ModSecurity del dominio, puedes añadir reglas personalizadas. Por ejemplo, si tu web usa un plugin de formularios que envía datos codificados y ModSecurity lo bloquea, puedes desactivar la regla concreta que lo causa.

El formato de una regla personalizada es algo así:

SecRule REQUEST_URI "@contains /contacto" "id:100001,phase:1,pass,nolog,ctl:ruleRemoveById=942100"

Pero no te asustes, en Plesk puedes hacerlo desde la interfaz sin escribir código. Solo tienes que indicar el ID de la regla que quieres excluir y a qué URL afecta.

Cómo comprobar que todo funciona correctamente

Una vez configurado el firewall y ModSecurity, es hora de hacer pruebas.

### Probar el firewall

Desde tu ordenador, intenta acceder a un puerto que hayas bloqueado. Si el firewall funciona, la conexión debería dar timeout o ser rechazada.

Puedes usar herramientas online como "port checker" o el comando telnet desde tu terminal:

telnet tu-servidor.com 8443

Si te sale "Connection refused" o se queda colgado, el firewall está haciendo su trabajo.

### Probar ModSecurity

Para probar ModSecurity, puedes hacer una petición que simule un ataque. Por ejemplo, desde tu navegador:

https://tu-dominio.com/?id=1' OR '1'='1

Si ModSecurity está en modo prevención, verás un error 403 o una página de bloqueo. Si está en modo detección, la página cargará normal pero la petición quedará registrada en los logs.

Solución de problemas comunes (FAQ)

### ¿Por qué mi web da error 403 después de activar ModSecurity?

Esto es un falso positivo. Alguna regla está bloqueando una petición legítima. Revisa los logs de ModSecurity (en "Herramientas y ajustes" → "Logs") para identificar el ID de la regla y exclúyela para esa URL concreta.

### He bloqueado el puerto 22 y ahora no puedo acceder por SSH

Si te has quedado fuera de tu servidor, no entres en pánico. Tienes dos opciones:

Accede por el panel de control de tu proveedor (VPS o dedicado) y usa la consola web.
Desde ahí, desactiva la regla o permite tu IP.

[WARNING] Nunca bloquees el puerto 22 sin tener una alternativa de acceso. Es un error muy común.

### ¿Puedo usar el firewall de Plesk junto con CSF o ConfigServer Firewall?

Técnicamente no es recomendable. Plesk ya trae su propio firewall, y tener dos firewalls activos puede causar conflictos de reglas. Si quieres usar CSF, desactiva el firewall de Plesk y deja que CSF gestione todo.

### ¿ModSecurity afecta al rendimiento de mi web?

ModSecurity añade una capa de análisis, por lo que sí consume algo de CPU. En servidores pequeños puede notarse, pero en la mayoría de casos es imperceptible. Si tienes un servidor muy justo, activa ModSecurity solo en los dominios críticos.

### ¿Qué pasa si tengo Syspanel (HestiaCP) y quiero configurar algo similar?

Si estás usando Syspanel (el antiguo HestiaCP) en lugar de Plesk, el proceso es diferente. Syspanel usa su propio panel de firewall en el puerto 2106. Ahí puedes gestionar reglas de iptables de forma similar, pero ModSecurity no está integrado de serie. Tendrías que instalarlo manualmente en Apache o Nginx.

Consejos finales para una seguridad sólida en Plesk

Más allá del firewall y ModSecurity, aquí van unos consejos extra que te vendrán bien:

Mantén Plesk actualizado: cada versión corrige vulnerabilidades.
Usa contraseñas fuertes y activa la autenticación de dos factores para el panel.
Limita el acceso SSH por IP siempre que puedas.
Revisa los logs semanalmente: te darán pistas de intentos de intrusión.
Haz copias de seguridad antes de aplicar cambios importantes en el firewall.

Resumen rápido

Configurar el firewall en Plesk y activar ModSecurity no es complicado, pero requiere paciencia y un poco de método:

Activa el firewall de red y añade reglas personalizadas para tus servicios.
Limita el acceso a puertos sensibles como SSH y FTP.
Activa ModSecurity con OWASP CRS, primero en modo detección.
Revisa los logs para ajustar falsos positivos.
Pasa a modo prevención cuando todo esté estable.

Con estos pasos, tu servidor estará mucho más protegido frente a ataques comunes. Y recuerda: la seguridad no es un destino, es un proceso continuo. Revisa tus reglas y logs periódicamente para mantener todo en orden.

Si te surge cualquier duda, los logs y la documentación oficial de Plesk son tus mejores amigos. Y si usas Syspanel, recuerda que su acceso es por el puerto 2106 y que tendrás que configurar la seguridad de forma algo más manual.

¡Manos a la obra y a proteger ese servidor!